개정 개인정보 보호법이 2026년 9월 11일 시행됐습니다. 2026년 3월 10일 공포된 법률과 시행령·고시가 같은 날 함께 적용됩니다. 핵심은 두 가지입니다. 유출이 의심되는 단계에서 이미 통지 의무가 생기고, 반복·대규모 위반의 과징금 상한이 관련 매출이 아니라 전체 매출액의 10%가 됐습니다. 아래 내용은 2026년 9월 기준입니다.
유출 통지 기준이 확정에서 가능성으로
이전에는 유출 사실이 확인된 뒤에 통지·신고 의무가 발생했습니다. 지금은 불법 접근이나 불법 거래 정황처럼 객관적인 근거로 유출 가능성이 높다고 판단되면, 그 사실을 안 때부터 72시간 이내에 통지하고 신고해야 합니다.
다만 취약점을 발견한 것만으로 의무가 생기지는 않습니다. 신고 대상이 되는 기준은 다음과 같습니다.
- 유출 규모가 1천 명 이상인 경우
- 민감정보나 고유식별정보가 포함된 경우
- 해킹 등 외부의 불법적인 접근으로 유출된 경우
‘유출 등’의 범위도 넓어졌습니다. 기존의 분실·도난·유출에 위조·변조·훼손이 추가됐습니다. 데이터가 밖으로 나가지 않아도 훼손됐다면 대상이 됩니다.
과징금 상한 전체 매출액의 10%
아래 세 가지 중 하나에 해당하면 전체 매출액의 10% 이내에서 과징금을 매길 수 있습니다.
| 구분 | 내용 |
|---|---|
| 반복 위반 | 고의 또는 중과실로 3년 내 같은 위반을 되풀이한 경우 |
| 대규모 피해 | 피해자가 1,000만 명 이상인 경우 |
| 시정명령 불이행 | 개인정보위의 시정명령을 따르지 않은 경우 |
세 가지 어디에도 해당하지 않는 일반적인 위반은 종전 기준이 유지됩니다. 모든 사고에 매출 10%가 적용되는 것은 아닙니다.
미리 투자한 기업은 감경
제재만 강해진 것은 아닙니다. 개인정보 보호를 위해 예산·인력·설비를 미리 투자하고 운영해 온 경우 과징금을 반드시 감경하도록 했습니다. 사고가 난 뒤에 대응하는 것보다 사전 투자를 유도하려는 장치입니다. 다만 고의나 중과실이 인정되면 이 감경은 적용되지 않습니다.
영세·중소기업의 경미한 위반은 면제할 수 있는 근거도 함께 들어갔습니다.
CPO 지정에 이사회 의결이 필요해졌다
일정 규모 이상의 사업자는 개인정보 보호책임자(CPO)를 지정·변경·해제할 때 이사회 의결을 거친 뒤 개인정보위에 신고해야 합니다. 대상은 연 매출 1,800억 원을 넘으면서 100만 명 이상의 개인정보를 처리하는 사업자, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관 등입니다.
신고는 개인정보 포털의 기업·공공 서비스 메뉴에서 합니다. 제도가 자리 잡을 때까지 2027년 12월 31일까지 계도기간이 운영되며, 이 기간에는 미지정·자격 미비·신고 지연에 과태료를 부과하지 않습니다.
ISMS-P 인증 의무화는 2027년 7월
중요 개인정보처리자에게 ISMS-P 인증을 의무화하는 조항은 9월 11일에 함께 시행되지 않았습니다. 예산 확보에 걸리는 기간을 고려해 2027년 7월 1일로 미뤄졌습니다. 대상 기업은 준비 기간이 약 10개월 남은 셈입니다.
유예된 것은 인증 의무 하나뿐입니다. 유출 통지, 과징금, CPO 관련 조항은 9월 11일부터 이미 적용되고 있습니다.
기업이 지금 점검할 것
규정이 바뀌었으므로 내부 절차도 함께 손봐야 합니다. 실무에서 확인이 필요한 항목은 다음과 같습니다.
- 유출 판단 기준 — 사실 확정을 기다리는 방식으로 설계돼 있다면 가능성 단계에서 판단하도록 바꿔야 합니다.
- 72시간 대응 체계 — 탐지부터 보고, 통지문 발송까지의 담당자와 소요 시간을 미리 정해 둬야 합니다. 주말과 연휴에 사고를 인지한 경우도 시간에 포함됩니다.
- 위조·변조·훼손 탐지 — 외부 유출만 감시하는 체계라면 대상 범위가 넓어진 만큼 점검 항목을 추가해야 합니다.
- 개인정보 처리방침 — 변경된 통지·신고 기준을 반영했는지 확인이 필요합니다.
- CPO 지정 요건 해당 여부 — 해당한다면 계도기간 안에 이사회 의결과 신고를 마쳐야 합니다.
개인이 알아둘 것
이용자 입장에서 체감되는 변화는 통지 시점입니다. 이전보다 이른 단계에서 통지를 받게 되므로, 아직 확정되지 않은 사고에 대한 안내를 받을 수 있습니다. 통지를 받으면 해당 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 계정도 함께 변경하는 것이 좋습니다.
통지 내용에는 유출된 항목과 시점, 처리자의 대응 내용, 문의처가 포함됩니다. 문자나 메일로 통지를 받았을 때 링크를 바로 누르기보다 해당 서비스에 직접 접속해 공지를 확인하는 편이 안전합니다. 유출 사고 직후에는 통지를 사칭한 피싱이 늘어납니다.
자주 묻는 질문
Q. 모든 유출 사고에 매출 10% 과징금이 붙나요?
아닙니다. 3년 내 반복 위반, 1,000만 명 이상 피해, 시정명령 불이행 중 하나에 해당할 때 적용되는 상한입니다. 그 밖의 위반은 종전 기준을 따릅니다.
Q. 72시간은 사고가 난 시점부터인가요?
사고 발생 시점이 아니라 처리자가 그 사실을 안 때부터 계산합니다.
Q. 유출 피해를 보면 얼마를 배상받나요?
금액은 사안마다 다릅니다. 법에 정액이 정해져 있지 않으므로 이 글에서는 다루지 않습니다.
정리
이번 개정의 방향은 사후 제재 강화와 사전 투자 유도를 함께 놓은 것입니다. 기업은 유출 판단 기준과 72시간 대응 절차를 다시 정비해야 하고, CPO 지정 요건에 해당한다면 계도기간 안에 신고를 마쳐야 합니다.
조문 원문은 국가법령정보센터에서, 유출 신고 절차는 개인정보보호위원회 유출신고제도 안내에서 확인할 수 있습니다.